feat(t215): add admin order authorization

docs/tasks/T-215.md

@@ -4,7 +4,7 @@ title: Admin 候选确认与一次性下单授权
 phase: 2
 deps:
   - T-214
-status: DOING
+status: DONE
 created: 2026-07-28
 context_ref: 56e7a2b
 work_branch: null
@@ -124,13 +124,13 @@ REVOKED/SUPERSEDED`；T-215 只产生 `PENDING_DELIVERY` 和 `SUPERSEDED`。存
 
 ## 验收要点
 
-- [ ] 非空候选批次原子进入 `WAITING_CONFIRMATION`，重复回传不重复增加事件/version。
-- [ ] Admin 请求只用 candidate key，完整覆盖候选且每项接受/拒绝都有合法理由。
-- [ ] review、授权、旧授权 supersede、任务事件和幂等记录原子提交。
-- [ ] 跨任务/execution、旧 hash/version、伪造 key、缺 identity 和并发双授权被拒绝。
-- [ ] 授权数量/SKU/价格/指纹均由服务端快照，Admin 不能篡改。
-- [ ] Admin API/Web 可选候选、查看证据和理由，明确只创建待付款订单且不授权付款。
-- [ ] v8 migration、Go test/race/vet、根验证和管理页面桌面/移动视口通过。
+- [x] 非空候选批次原子进入 `WAITING_CONFIRMATION`，重复回传不重复增加事件/version。
+- [x] Admin 请求只用 candidate key，完整覆盖候选且每项接受/拒绝都有合法理由。
+- [x] review、授权、旧授权 supersede、任务事件和幂等记录原子提交。
+- [x] 跨任务/execution、旧 hash/version、伪造 key、缺 identity 和并发双授权被拒绝。
+- [x] 授权数量/SKU/价格/指纹均由服务端快照，Admin 不能篡改。
+- [x] Admin API/Web 可选候选、查看证据和理由，明确只创建待付款订单且不授权付款。
+- [x] v8 migration、Go test/race/vet、根验证和管理页面桌面/移动视口通过。
 
 ## 边界
 
@@ -144,3 +144,8 @@ REVOKED/SUPERSEDED`；T-215 只产生 `PENDING_DELIVERY` 和 `SUPERSEDED`。存
 - 2026-07-28：T-214 实现提交 `56e7a2b` 后领取。决定复用
   `WAITING_CONFIRMATION`，并把 Admin review 与一次性授权放在同一事务；设备投递和
   页面动作继续保持为后续独立权限层。
+- 2026-07-28：完成 v8 migration、候选就绪原子状态迁移、Admin API/SSR 表单、
+  不可变授权快照、修订/幂等/并发保护和审计历史。`go test ./...`、
+  `go test -race ./...`、`go vet ./...` 与根 `init.ps1` 通过。
+- 2026-07-28：真实 Gin handler、嵌入模板和 CSS 在 Playwright `1440x900`、
+  `390x844` 通过；均无横向溢出，主要控件高度至少 44px，控制台无错误。